klient pyta, czy nasze dane są szyfrowane podczas przechowywania i przesyłania

Szyfrowanie podczas przechowywania i transportu to dwa oddzielne punkty do potwierdzenia

Pytanie zawiera często dwie podpytania w jednym: encryptacja "at rest" (przechowywanie) i "in transit" (przesyłanie). Odpowiedz na nie osobno, ponieważ zdarza się, że jedno jest uregulowane, a drugie nie — na przykład TLS na wszystkich połączeniach, ale brak szyfrowania bazowej bazy danych. Podaj w odpowiedzi konkretnie, które z nich zostało wypełnione, zamiast jednej podsumowującej odpowiedzi "tak".

Co musisz mieć, aby potwierdzić: protokół używany do transferu danych (zwykle TLS 1.2 lub nowszy) i metodę przechowywania (zwykle AES-256 lub równoważną). Jeśli nie zostało to określone w polityce kryptograficznej, nie ma niczego do potwierdzenia — wtedy "do określenia" jest właściwą etykietą, a nie educated guess. Jest to zgodne z pytaniem czy istnieje polityka dotycząca korzystania z kryptografii i szyfrowania: bez tej polityki brakuje źródła, na którym można by oprzeć tę odpowiedź. Szyfrowanie wiąże się również z tym, kto ma dostęp do kluczy; jeśli nic na ten temat nie zostało określone, jest to wskazówka, że również polityka dostępu nie jest jeszcze kompletna.

Dlaczego powraca to oddzielnie w artykule 21 ust. 2 i Załączniku A

Szyfrowanie danych wymieniane jest jako odrębny środek w artykule 21 ust. 2 dyrektywy NIS2, wśród dziesięciu tam wymienionych środków — nie jest to zatem ogólna "dobra praktyka", ale konkretny punkt kontrolny. W ISO/IEC 27001 kryptografia pojawia się jako odrębna kategoria w Załączniku A, niezależnie od kontroli dostępu i niezależnie od ciągłości. To rozdzielenie w źródłach jest dokładnie dlatego, że listy pytań od klientów często wymieniają przechowywanie i przesyłanie jako dwa pod-pytania: następują one strukturze podstawowej normy.